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PROCEDE ET DISPOSITIF DE CONFIGURATION DE PARE-FEU DANS 
UN SYSTEME INFORMATIQUE 

5 La presente invention concerne le domaine de pare-feu dans un 

systeme informatique, et plus particuiierement de la configuration de pare- 
feu. 

L'art anterieur 

10 

Un pare-feu est une machine ou groupes de nnachines pernnettant de 
securlser la jonction entre un reseau interieur et un reseau exterieur tel 
qu'lnternet centre des Intrusions non autorisees, voire malveillantes. II est 
rappele qu'lnternet consiste en un ensemble de reseaux et machines 
15 interconnectes dans le monde entier, permettant a des utilisateurs des quatre 
coins de la terre de partager des informations. 

Le terme « machine » dans la presente description represente une 
unite conceptuelle tres large, de nature materiel et/ou logiciel. Les machines 
20 peuvent etre tres diverses, telles que des stations de travail, serveurs, 
routeurs, machines specialisees et passerelles entre reseaux. 

Tous les messages transitant entre le reseau interieur et exterieur 
doivent passer par le pare-feu qui examine chaque message et bloque ceux 
25 qui ne repondent pas a des regies de controle d'acces determinees. Le pare- 
feu est un element d'une politique globale de securite, integre dans un 
environnement applicatif de plus en plus riche et destine a proteger des 
ressources d'information. 

30 Les pare-feux sont utilises notamment pour empecher les utilisateurs 

d' Internet non autorises d'acceder a des reseaux internes connectes a 
Internet, pour donner a un utilisateur d'un reseau interne I'acces a Internet de 
maniere sure, pour separer les machines publiques d'une entreprise 
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permettant I'acces a Internet de son reseau interne, pour realiser un 
cloisonnement a Tinterieur d'un reseau donne, pour proteger les segments 
de reseaux internes cloisonnes. 

5 Le pare-feu est materialise par exemple par une machine dediee qui 

controle I'acces aux differentes machines d'un reseau interieur determine. 

Pour ce faire, le pare-feu controle quelles machines et/ou quels 
utilisateurs et/ou quels services ou applications d'un reseau interieur peuvent 
10 acceder a quelle machine et/ou quels utilisateurs et/ou quels services ou 
applications d'un reseau exterieur et inversement. 

Les machines appartenant au reseau Internet utilisent le protocole 
TCP/IP. Le pare-feu effectue des filtrages des communications TCP/IP. Le 
1 5 pare-feu manipule des donnees applicatives, informations transmises dans la 
partie resenaee aux donnees dans les en-tetes des datagrammes TCP/IP. 

Les criteres de filtrage sont par exemple de maniere non limitative ; 

• Tadresse appeiante, 
20 • I'adresse appelee, 

♦ Tapplication appelee. 

La complexite de configuration de pare-feu est illustree par I'exemple 
suivant, auquel peuvent etre ramenees la plupart des architectures de 
25 cloisonnement dans les reseaux d'entreprises. 

On considere le cas d'un reseau d'entreprise comprenant n pare-feu 
denommes NWi, NWn connectes a des sous-reseaux. 

30 On souhaite appliquer une politique de securite selon laquelle sur 

chaque sous-reseau CCj, une station de travail (poste client) C\ est autorisee 
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a acceder a un serveur Sj situe sur un sous-reseau SSj. Les sous-reseaux 
CCj et SSi sont relies a un unique et meme pare-feu NWj. 

Ce cas de figure peut bien evidemment Stre etendu au cas de 
5 plusieurs stations de travail, autorisees a acceder a plusieurs serveurs. 

Avec les systemes de configuration de pare-feu classiques, les 
administrateurs operent de deux manieres : 

10 • Definir deux groupes contenant respectivement les stations de 

travail et les serveurs. Definir ensuite une regie autorisant I'acces du groupe 
des stations de travail vers le groupe des serveurs. Cette maniere de 
proceder permet d'autoriser en une seule regie I'acces de chaque station au 
serveur connecte au meme pare-feu (C, -> Si), mais autorise egalement 

15 Tacces des stations a tous les autres serveurs connectes a d'autres pare-feu 
NWj (C, -> Sj). Ce n'est pas la politique de securite souhaitee. 

• Definir sur chaque pare-feu les regies specifiques autorisant un a un 
les acces de chaque station de travail au serveur qui lui correspond. Cette 
maniere de proceder est tres vite fastidieuse, voire difficile a mettre en 

20 pratique, lorsque le nombre de pare-feu augmente, voire le nombre de 
stations, ou le nombre de serveurs. 

La simplification de la configuration est un objectif prioritaire d'un 
administrateur de pare-feu. 

25 

Les solutions courantes connues pour tenter de resoudre le probleme 
de complexite de configuration sont les suivantes. 

On connaTt un systeme commercialise sous i'appellation Net 
30 Partitioner et produit par la Societe Solsoft. 
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Le dispositif Net Partitioner permet a Tadministrateur de representer 
graphiquement I'ensemble de son reseau, avec Timplantation des pare-feu, 
ainsi que des differents serveurs et des stations de travail qui en font partie. 
Les machines sent representees par des icones et leur interconnexion par 
5 des traits les reliant. 

Ladministrateur definit egalement sous forme de fleches la maniere 
dont les machines peuvent acceder a d'autres machines et aux applications 
qu'elles hebergent 

10 

Cette solution permet de definir des groupes d'ordinateurs, ainsi que 
des regies de controle d'acces entre ces groupes. En revanche, les regies 
definissent I'acces de tous les elements d'un groupe vers tous les elements 
d'un autre groupe, ce qui alourdit la procedure de configuration. 

15 

La description du systeme (a savoir {'ensemble des machines 
presentes sous forme d'icones et leur interconnexion sous forme de traits) et 
la specification des regies appliquees au systeme et representees sous 
forme de fleches sont combinees sur une meme interface graphique. Plus le 
20 systeme comprend de machines et plus les connexions entre ces machines 
sont nombreuses, plus il est difficile pour I'administrateur de decrire le 
systeme a partir de I'interface. 

Par ailleurs, le dispositif Net Partitioner ne prevoit aucun transfert des 
25 regies depuis ledit dispositif vers les pare-feu concernes et aucune prise en 
compte de la nouvelle politique de securlte. L'administrateur doit lui-meme 
configurer chacun des pare-feu a partir des resultats procures par le 
dispositif Net Partitioner. 
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Cette solution ne permet done pas de simplifier la procedure de 
configuration. 
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Un but de la presents invention est de simplifier la configuration d'un 
grand nombre de pare-feu. 

Resume de ^invention 

5 

Dans ce contexte, la presents invention propose un procede de 
configuration de pare-feu dans un systeme informatique comportant des 
objets, les objets pour lesquels une politique de controle d'acces est mise en 
place etant appeles des ressources, caracterise en ce qu'il regroupe les 

10 objets du systeme par donnaine de protection, chaque pare-feu assurant la 
protection d'un domaine interieur par rapport a un domaine exterieur et 
applique au pare-feu concerne une regie de controle d'acces entre une 
ressource d'origine et une ressource de destination uniquement si lesdites 
ressources d'origine et de destination appartiennent au meme domaine ou 

15 de protection. 

La presente invention concerne egalement le systeme de mise en 
oeuvre dud it procede. 

20 Presentation des figures 

D'autres caracteristlques et avantages de I'invention apparaTtront a la 
lumiere de la description qui suit, donnee a titre d'exemple illustratif et non 
limitatif de la presente invention, en reference aux dessins annexes dans 
25 lesquels: 

•la figure 1 est une vue schematique du systeme selon une forme de 
realisation de I'invention ; 

•la figure 2 est une copie d'ecran d'une interface graphique presentant 
30 des pare-feu du systeme selon la figure 1 et a leurs proprietes ; 

•la figure 3 est une copie d'ecran d'une interface graphique presentant 
des groupes de machines du systeme selon la figure 1 ; 
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•la figure 4 est une copie d'ecran d'une interface graphique presentant 
des regies de contrSle d'acces dans le systeme selon la figure 1. 

Description d'une forme de realisation de invention 

5 

Comme le montrent les figures 1 a 4, la presente invention se rapporte 
a un precede de configuration de pare-feu 1 dans un systeme informatique 2. 

Le systeme informatique 2 est distribue et comprend des objets 3, des 
10 utilisateurs et les pare-feu 1. Un objet 3 est une unite conceptuelle tres large, 
de nature materielle et/ou logicielle. Les objets 3 peuvent etre tres divers, tels 
que des reseaux, des sous-reseaux, des stations de travail, des serveurs, 
des routeurs, des machines specialisees et passerelles entre reseaux, des 
applications. Seuls les composants des objets 3 du systeme 2 
15 caracteristiques de la presente invention seront decrits, les autres 
composants etant connus de I'homme du metier. Les objets 3 entre lesquels 
des regies de controle d'acces constituant la politique de securite du systeme 
2 sont definies, sont appeles ressources 4. 

20 Comme represente sur la figure 1, les pare-feu 1 assurent la 

protection d'un domaine interieur 5 (D1, D2, D3) par rapport a un domaine 
exterieur 6 (dorsal, en anglais backbone). Un administrateur 7 definit pour 
chaque pare-feu 1 le domaine interieur 5 constituant le domaine de 
protection du pare-feu. Le domaine de protection du pare-feu represente ce 

25 que Tadministrateur souhaite proteger a I'aide dudit pare-feu par rapport a ce 
dont il veut le proteger, a savoir le domaine exterieur. 

Chacun des deux domaines de protection 5 et exterieur 6 est constitue 
de zones 8 comportant un ou plusieurs reseaux ou sous-reseaux 9 de 
30 machines. Une zone 8 est une partie du systeme 2 separe du reste de celui- 
ci par un ou plusieurs pare-feu. Les zones 8 sont connectees au pare-feu 1 
concerne par plusieurs interfaces reseaux 10. Uadministrateur 7 determine 
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pour chaque zone 8 raccordee a chaque pare-feu, si la zone 8 est a 
rinterieur du domaine 5 de protection du pare-feu (zone interieure) ou si elle 
est a I'exterieur (zone exterieure), c'est a dire si elle est directement protegee 
par le pare-feu ou s'il s'agit d'une zone assurant la liaison entre les pare-feu, 
5 ou ce qui est equivalent, entre les differents domaines de protection. 

Dans I'exemple de forme de realisation illustre sur la figure 1, chaque 
domaine 5 de protection, D1, D2, D3 est contr6l6 par un pare-feu 1 
respectivement NW1, NW2, NWS. Chacun des pare-feu NW1, NW2, NWS 
10 est connecte a une zone 8 comprenant un sous-reseau 11 interne 
respectivement li, h, h et a une zone 8 comportant un sous-reseau 12 de 
type «zone demilitarisee » respectivement DMZi, DMZa, DMZ3. Les sous- 
reseaux 1 1 et 12 sont a I'interieur du domaine 5 de protection. 

15 Un sous-reseau de type « zone demilitarisee » est un sous-reseau 

tampon, realisant une sorte de sas entre un reseau interne et externe pour 
en renforcer la protection. 

Chaque pare-feu 1 est relie a une zone 8 du domaine 6 exterieur, 
20 comportant un reseau 13 dit reseau dorsal. La zone 8 du domaine 6 exterieur 
comprenant le reseau IS est appelee zone dorsale. La zone 8 dorsale 
constitue la liaison du domaine int^rieur 5 avec le reste du r6seau concerne, 
et represente I'exterieur par rapport au domaine 5 considere. 

25 Selon un developpement de invention, la zone 8 dorsale comprend 

une machine 14 de configuration centrale a partir de laquelle la configuration 
globale du systeme 2 est effectuee. La configuration globale du systeme 2 
peut etre realis§e par exemple de la maniere explicitee dans la demande de 
brevet deposee par le present deposant le meme jour que la presente 

30 demande et dont le titre est « Precede et dispositif de configuration 
centralisee de pare-feu dans un systeme informatique ». La machine 14 de 
configuration centrale offre une interface 15 graphique permettant a 
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radministrateur 7 de realiser ladite configuration, ^interface 15 graphique est 
illustree sur les figures 1 a 4. 

La presente invention est decrite dans ce qui suit dans la forme de 
5 realisation du systeme illustre sur les figures 1 a 4 consistant en une 
configuration centrale des pare-feu. Le precede selon invention decrit pour 
ladite forme de realisation est susceptible d'etre applique a un pare-feu isole 
sans configuration centrale. 

10 Dans la forme de realisation illustre sur la figure 2, Tadministrateur 

saisit la definition des pare-feu 1, des domaines 5, 6 et des interfaces 
reseaux 10 au travers de interface 15 graphique. Uecran de I'interface 15 
est divise en trois fenetres : une fenetre 16 d'objets a gauche de I'ecran de la 
machine 14, une fenetre 17 d'attributs a droite de I'ecran de la machine 14., 

15 une fenetre 18 de regies en bas de I'ecran. Dans la fenetre 16 d'objets, 
lorsqu'un onglet 19 « Netwalls » est selectionne, tous les pare-feu NW1, 
NW2, NWS du systeme 2 sont indiques. Dans la fenetre 17 d'attributs, 
lorsqu'un onglet 20 « Properties » est selectionne, les proprietes du pare-feu 
surligne dans la partie gauche (ici NW1) sont precisees dans un tableau 21 

20 de zones. 

L'administrateur definit les proprietes des pare-feu 1 de la maniere 
suivante. Le pare-feu NW1 dispose de trois interfaces reseaux 10 
mentionnees dans la colonne 22 « Name » avec des zones 8 indiquees dans 

25 la colonne 23 « Zone » : une interface reseau NW1 avec la zone du sous- 
reseau 11, une interface reseau NW1_dmz avec la zone du sous-reseau 
DMZi et une interface reseau NW1_dorsale avec la zone dorsale. Les 
proprietes sont similaires pour les pare-feu NW2 et NW3. Une colonne 24 
« Address » du tableau 21 indique les adresses des interfaces reseau, dont 

30 la designation est situee sur la meme ligne. 
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Une colonne 25 « Is External » du tableau 21 de zones permet de 
specifier pour chaque interface reseau 10 si ladite interface reseau est 
attachee a une zone 8 exterieure au domaine 5 de protection (valeur 
« true ») ou interieure au donnaine de protection (valeur « false »). 
5 Dans Texemple considere, les interfaces reseaux NW1_dmz et NW1 

sont attachees a des zones 8 interieures (sous-reseaux DMZi, U) au 
domaine 5 de protection, alors que interface reseau NW1__dorsaIe est 
exterieure (reseau dorsal) au domaine de protection (configuration similaire 
pour les pare-feu NW2 et NW3). 

10 

Chaque pare-feu assure les controles d'acces a la fois des 
communications entre les domaines 5 et des communications entre les 
zones 8 a Tinterieur du domaine 5 dont il est responsable. Une partie de la 
politique de securite concerne le controle des acces entre les domaines ; une 
15 autre partie de la politique de securite concerne le controle des acces entre 
des zones a Tinterieur du domaine de controle du pare-feu. 

L'invention consiste a definir une operation de factorisation des regies 
de controle d'acces constituant la politique de controle d'acces dans le but de 
20 minimiser le nombre de regies de filtrage a declarer par Tadministrateur. 

Pour ce faire, Tadministrateur 7 reunit au sein de memes groupes les 
objets 3 du systeme 2 (dans Texempie illustre, des stations de travail et 
serveurs) pour lesquels une meme politique de securite est appliquee. Dans 

25 Texemple illustre sur la figure 1, des stations de travail 26 Ci, C2, C3 font 
partie integrante des sous-reseaux internes respectivement I1, b, is ; des 
serveurs 27 Si, S2, S3 appartiennent respectivement aux sous-reseaux 
DMZi, DMZ2, DMZ3. Le domaine D1 rassemble la zone comprenant le sous- 
reseau interne II avec la station de travail C1 et la zone comprenant ie sous- 

30 reseau DMZ1 avec le serveur SI . Dans Texemple illustre, une seule station 
de travail appartient au sous-reseau interne II : le sous-reseau 11 aurait pu 
contenir plusieurs stations de travail, C11, C12, C13, Clk et/ou tout autre 
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type de machines. De meme, le sous-reseau DMZ1 aurait pu contenir 
plusieurs serveurs, S11, S12, S13, S1m et/ou tout autre type de 
machines. Le meme raisonnement est applicable aux autres domaines et 
zones. 

5 

L'administrateur 7 peut, a litre illustratif, reunir dans un groupe de 
stations de travail 26 les machines Ci, C2, C3 et dans un groupe de serveurs 
27 les machines Si, S2, S3. 

10 Ulnvention consiste a declarer entre les types de groupes definis par 

l'administrateur des regies de controle d'acces de portee limitee a chaque 
pare-feu ou etendue au systeme 2. L'administrateur specifie pour les regies 
de controle d'acces, si la portee est locale au pare-feu ou globale. 

15 Une regie de portee locale definit des relations d'acces entre des 

ressources 4 de deux groupes, lesdites ressources appartenant a un meme 
domains 5 de protection. La portee locale permet de restreindre la regie a 
des acces interieurs au domaine 5 de protection. 

20 Dans Texemple mentionne plus haut, une regie de portee locale definit 

une relation d'acces du groupe (Ci, Cn) vers le groupe (Si, Sn) en 
mettant en jeu un acces depuis la ressource Cj vers la ressource Sj, sans 
etabllr de relation de Ci vers Sj, avec j different de i. Dans le cas de plusieurs 
stations de travail et serveurs comme vu plus haut, le principe est le meme : 

25 la regie de portee locale definit une relation d'acces du groupe (Cii,Ci2, 
CiK Cni, Cn2.-.) vers le groupe (Sii,Si2, Sim, Sni. Sn2..-) en mettant 
en jeu un acces depuis la ressource Cjk vers la ressource Sim, sans etabllr de 
relation de Cjk vers Sjm, avec j different de i et quelque soit k et m. 

30 Une regie de portee globale definit les relations d'acces possibles 

entre deux groupes dans le systeme 2 dans son entier. 
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Une regie de portee globale est conservee et toujours utilisable par 
Tadministrateur pour traitor les cas generaux de la politique de securite. Les 
regies de portee globale regissent les relations d'acces du groupe (Ci, 
Cn) vers le groupe (Si, Sn) et etablissent toutes les relations de Cj vers Sj, 
5 pour 1 et j variant de 1 a n. Dans le cas de plusieurs stations de travail et 
serveurs connme vu plus haut, la regie de portee globale definit une relation 
dracoes du groupe (Cii,Ci2, Cik Cni, Cn2...) vers le groupe (Sii,Si2, 
Sim, Sni. Sn2...) en mottant en jeu un acces depuis la ressource Qk vers la 
ressource Sim, quelque soit i, j, k et m. 

10 

L'attribut de portee « locale » ou « globale » de chaque regie est 
attache a chaque regie, de telle maniere que chaque pare-feu a 
individuellement la connaissance de la portee des regies. 

15 Dans la forme de realisation illustree sur les figures 3 et 4, 

I'administrateur souhaite mettre en ceuvre une politique de controle d'acces 
selon laquelle les ressources de chaque sous-reseau Interne Ij (i variant ici 
de 1 a 3) de chaque domaine 5 de protection peuvent acceder aux 
ressources du sous-reseau DMZj (i variant ici de 1 a 3) du meme domaine 5 

20 de protection, sans autoriser I'acces entre un sous-reseau li interne d'un 
domaine donne et le sous-reseau DMZj, avec j different de i, d'un autre 
domaine (par exemple, acces entre le sous-reseau U et le sous-reseau 
DMZ2). 

25 Comme le montre la figure 3, I'administrateur regroupe a I'aide de 

INnterface 15 graphique les zones des sous-reseaux internes h, I2, I3 dans le 
groupe des sous-reseaux internes GJ et les zones des sous-reseaux DMZi, 
DMZ2, DMZ3 dans le groupe G_DMZ. Dans la fenetre 16 d'objets, un onglet 
28 « Ressources » etant selectionne, il est indique que le groupe G__DMZ 

30 comprend ANY_DMZi, ANY__DMZ2, ANY_DMZ3, a savoir I'ensemble des 
objets des sous-reseaux DMZi, DMZ2, DMZ3. 
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Uadministrateur definit ensuite dans la fenetre 18 de regies les regies 
de portee locale ou globale. Dans i'exemple lllustre sur la figure 4, un tableau 
29 de regies dans la fenetre 18 de regies permettant de definir les regies est 
affiche dans la fenetre 17 d'attributs lorsqu'un onglet 30 « Rules » est 
5 selectionne. La fenetre 17 d'attributs nnontre que Tadministrateur a defini a 
Taide du tableau 29 de la fenetre 18 une regie de portee « locale » autorisant 
Tacces depuis le groupe GJ vers le groupe G_DMZ, la regie ainsi definie 
etant affichee dans le tableau 29 de la fenetre 17 d'attributs. 

10 Le tableau 29 de regies comprend une colonne 31 « Name » pour 

identifier la regie de controle d'acces, une colonne 32 « Source » pour 
designer le groupe d'origine de la regie, une colonne 33 « Destination » pour 
designer le groupe destination de la regie. 

15 La portee de la regie est definie dans une colonne 34 « Scope » et 

peut prendre les valeurs « LOCAL » pour une portee locale ou « GLOBAL » 
pour une portee globale. Dans Texemple illustre, la portee de la regie prend 
la valeur par defaut « GLOBAL ». 

20 Le precede selon la presente invention opere de la maniere suivante : 

Au moment ou le pare-feu effectue le controle d'acces (par exemple 
lors d'une tentative d'etablissement de connexion), le pare-feu 1 analyse 
Tattribut de portee de la regie regissant le controle de I'acces en cours. 

25 

SI la regie est de portee globale, elle est appllquee sans controle 
supplementaire : I'acces est autorise ou rejete en fonction de la consigne 
donnee par la regie. II s'agit d'un fonctionnement standard de pare-feu. 

30 Si la portee de la regie est locale, le pare-feu determine les interfaces 

reseaux 10 d'entree et de sortie du trafic en cours de traitement et analyse si 
ces interfaces reseaux sont attachees au domaine 5 Interieur ou 6 exterieur. 
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Si les deux interfaces reseaux 10 d'entree et de sortie sont attachees 
au domaine 5 interieur, le trafic en cours de traitement reste a I'interieur du 
domaine 5 de protection du pare-feu : la regie est alors appliquee et I'acces 
est autorise ou rejete en fonction de la consigne donnee par ladite regie. 

Si I'une des deux Interfaces reseaux 10 est attachee au domaine 6 
exterieur, le trafic en cours de traitement n'est pas interne au domaine 5 de 
protection du pare-feu : la regie en question n'est pas applicable pour le profil 
de trafic en cours de traitement. 

Dans I'exemple illustre, aucun pare-feu reliant les domaines D1, D2, 
D3 entre eux n'est prevu. L'invention ne s'interesse pas aux domaines de 
liaison. Les interfaces associees aux domaines de liaison sont 
automatiquement attachees a un domaine externe, a savoir que la colonne 
« Is External » prend la valeur true. 

Dans I'exemple illustre sur les figures 2 a 5, le proced§ opere de la 
maniere suivante. 

Lors d'un acces depuis le sous-reseau li vers le sous-reseau DMZi, le 
pare-feu NWi determine que le trafic entre par I'interface reseau 10 NWi et 
ressort par I'interface reseau 10 NWi_dmz. Lesdites interfaces reseau NWi 
et NWi_dmz sont d6ciarees interieures au domaine de protection du pare- 
feu en question. Le pare-feu NWi autorise I'acces. Le mecanisme est 
similaire pour des acces du sous-reseau b vers DMZ2, au travers de NW2, et 
de I3 vers DMZ3, au travers de NW3. 

Lors d'un acces du sous-reseau h vers ie sous-reseau DMZ2, le pare- 
feu NWi determine que le trafic entre par I'interface reseau NWi et ressort 
par I'interface reseau NWi_dorsale. La premiere interface reseau NWi est 
declaree interieure au domaine 5 de protection, alors que la seconde 
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NWi_dorsale est declaree exterieure au domaine 5 de protection. Le trafic 
n'est pas limite au domaine 5 de protection et la pare-feu NW1 n'autorise pas 
I'acces. 

De la meme maniere, le pare-feu NW2 detecte que le trafic en cause 
entre par {'interface reseau NW2_dorsale et ressort par Tinterface reseau 
NW2_dmz. LNnterface reseau NW2_dorsale est attachee a un sous-reseau 
exterieur au domaine de protection ; le trafic n'est pas limite au domaine de 
protection du pare-feu NW2 et est bloque par ce dernier. 

La presente invention concerne le precede de configuration de pare- 
feu 1 dans un systeme 2 informatique comportant des objets 3, les objets 3 
pour lesquels une politique de controle d'acces est mise en place etant 
appeles des ressources 4, caracterise en ce qu'il regroupe les objets 3 du 
systeme par domaine 5, 6 de protection, chaque pare-feu 1 assurant la 
protection d'un domaine interieur 5 par rapport a un domaine 6 exterieur et 
applique au pare-feu concerne une regie de controle d'acces entre une 
ressource 4 d'origine et une ressource de destination uniquement si lesdites 
ressources d'origine et de destination appartiennent au meme domaine 5 ou 
6 de protection. 

Le precede determine le domaine de protection des ressources 4 au 
moyen des interfaces reseau 10 du pare-feu concerne, interfaces par 
lesquels passent les communications pour parvenir aux dites ressources. 

Le precede definit les zones 8 comportant des reseaux ou sous- 
reseaux ; il associe les interfaces reseaux 10 des pare-feu auxqueis lesdites 
zones sont connectees a un domaine interieur ou exterieur ; il determine les 
interfaces reseaux 10 d'entree et de sortie du trafic en cours de traitement ; il 
analyse si lesdites interfaces reseaux sont attachees a un domaine interieur 
ou exterieur ; il applique la regie uniquement si les deux interfaces reseaux 
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sont attachees au meme domaine 5 interieur ce qui correspond au fait que 
les ressources appartiennent au meme domaine de protection. 

Le precede constitue les groupes d'objets 3 pour lesquels la politique 
5 de controle d'acces est identique et applique la regie entre chacune des 
ressources d'un groupe d'origine et d'un groupe de destination. 

Le precede caracterise la regie par une portee locale ou globale et il 
applique la regie aux ressources concernees uniquement si lesdites 
10 ressources appartiennent au meme domaine 5 ou 6 de protection lorsque la 
portee de la regie est locale, applique la regie a toutes les ressources 
concernees lorsque la portee de la regie est globale. 

La presente invention concerne egalement le dispositif permettant la 
15 mise en oeuvre du precede decrit ci-dessus. 

Le presente invention se rapporte egalement au dispositif de 
configuration de pare-feu 1 dans le systeme 2 informatique caracterise en ce 
qu'il comprend la machine 14 de configuration centrale permettant de 

20 regrouper les objets 3 du systeme par domaine de protection, chaque pare- 
feu 1 assurant la protection d'un domaine interieur 5 par rapport a un 
domaine 6 exterieur et d'appliquer au pare-feu concerne une regie de 
controle d'acces entre une ressource 4 d'origine et une ressource de 
destination uniquement si lesdites ressources d'origine et de destination 

25 appartiennent au meme domaine 5 ou 6 de protection. 

Le dispositif comprend interface 15 graphique a partir de laquelle un 
administrateur 7 est susceptible de saisir les domaines 5 et 6 de protection et 
les regies de controle d'acces. 

30 

L'interface graphique permet a I'administrateur 7 de definir une portee 
a la regie de controle d'acces locale ou globale, et la machine 14 applique la 
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regie aux ressources concernees uniquement si lesdites ressources 
appartiennent au meme domaine 5 ou 6 de protection lorsque la portee de la 
regie est locale, et applique la regie a toutes les ressources concernees 
lorsque la portee de la regie est globale. 
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REVENDICATIONS 

1. Procede de configuration de pare-feu (1) dans un systeme (2) 
informatique comportant des objets (3), les objets (3) pour lesquels une 
politique de controle d'acces est mise en place etant appeles des ressources 
(4), caracterise en ce qu'il regroupe les objets (3) du systeme par domaine 
(5, 6) de protection, chaque pare-feu (1) assurant la protection d'un domaine 
interieur (5) par rapport a un domaine (6) exterieur et applique au pare-feu 
concerne une regie de controle d'acces entre une ressource (4) d'origine et 
une ressource de destination uniquement si lesdites ressources d'origine et 
de destination appartiennent au meme domaine (5) ou (6) de protection. 

2. Procede selon la revendication 1, caracterise en ce qu'il determine le 
domaine de protection des ressources (4) au moyen des interfaces reseau 
(10) du pare-feu concerne, interfaces par lesquels passent les 
communications pour parvenir aux dites ressources. 

3. Procede selon la revendication 2, caracterise en ce qu'il definit des zones 
(8) comportant des reseaux ou sous-reseaux, en ce qu'il associe les 
interfaces reseaux (10) des pare-feu auxquels lesdites zones sont 
connectees a un domaine interieur ou exterieur, en ce qu'il determine les 
interfaces reseaux (10) d'entree et de sortie du trafic en cours de traitement, 
en ce qu'il analyse si lesdites interfaces reseaux sont attachees a un 
domaine interieur ou exterieur, et en ce qu'il applique la regie uniquement si 
les deux interfaces reseaux sont attachees au meme domaine (5) interieur ce 
qui correspond au fait que les ressources appartiennent au meme domaine 
de protection. 

4. Procede selon Tune des revendications 1 a 3, caracterise en ce qu'il 
constitue des groupes d'objets (3) pour lesquels la politique de controle 
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d'acces est identique et applique la regie entre chacune des ressources d'un 
groupe d'origine et d'un groupe de destination. 

5. Precede selon Tune des revendications 1 a 4, caracterise en ce qu'il 
5 caracterise la regie par une portee locale ou globale, en ce qu'il applique la 

regie aux ressources concernees uniquement si lesdites ressources 
appartiennent au meme domaine (5) ou (6) de protection lorsque la portee de 
la regie est locale, et en ce qu'il applique la regie a toutes les ressources 
concernees lorsque la portee de la regie est globale. 

10 

6. Dispositif permettant la mise en oeuvre du precede selon Cune des 
revendications 1 a 5. 

7. Dispositif de configuration de pare-feu (1) dans un systeme (2) 
15 informatique comportant des objets (3), les objets (3) pour lesquels une 

politique de controle d'acces est mise en place etant appeles des ressources 
(4), caracterise en ce qu'il comprend une machine (14) de configuration 
centrale permettant de regrouper les objets (3) du systeme par domaine de 
protection, chaque pare-feu (1) assurant la protection d'un domaine interieur 
20 (5) par rapport a un domaine (6) exterieur et d'appliquer au pare-feu 
concerne une regie de controle d'acces entre une ressource (4) d'origine et 
une ressource de destination uniquement si lesdites ressources d'origine et 
de destination appartiennent au meme domaine (5) ou (6) de protection. 

25 8. Dispositif selon la revendication 7, caracterise en ce qu'il comprend une 
interface (15) graphique a partir de laquelle un administrateur (7) est 
susceptible de saisir les domaines (5) et (6) de protection et les regies de 
controle d'acces. 

30 9. Dispositif selon Tune des revendications 7 ou 8, caracterise en ce 
rinterface graphique permet a I'administrateur (7) de definir une portee a la 
regie de controle d'acces locale ou globale, et en ce que la machine (14) 
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applique la regie aux ressources concernees unlquement si lesdltes 
ressources appartiennent au meme domaine (5) ou (6) de protection lorsque 
la portee de la regie est locale, et applique la regie a toutes les ressources 
concernees lorsque la portee de la regie est globale. 

10. Module loglciel permettant la mise en oeuvre du precede selon Tune des 
revendications 1 a 5. 
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ABREGE DESCRIPTIF 

La presente invention concerne un precede de configuration de pare- 
feu (1) dans un systems (2) informatique comportant des objets (3), les 
5 Objets (3) pour lesquels une politique de controle d'acces est mise en place 
etant appeles des ressources (4). Le procede regroupe les objets (3) du 
systenne par domaine de protection, chaque pare-feu (1) assurant la 
protection d'un domaine interieur (5) par rapport a un domaine (6) exterieur 
et applique au pare-feu concerne une regie de controle d'acces entre des 
10 ressources (4) uniquement si lesdites ressources appartiennent au meme 
domaine (5) ou (6) de protection. 

La presente invention concerne egalement le dispositif de mise en 
oeuvre dudit procede. 

15 
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Figure de I'abrege : Figure 1 
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